Bug 712551

Summary: SELinux está negando a Samba (/usr/sbin/smbd) el acceso "read" a /proc/<pid>/cmdline.
Product: [Fedora] Fedora Reporter: Oscar Flor <oflor>
Component: selinux-policyAssignee: Miroslav Grepl <mgrepl>
Status: CLOSED WONTFIX QA Contact: Fedora Extras Quality Assurance <extras-qa>
Severity: medium Docs Contact:
Priority: unspecified    
Version: 12CC: dominick.grift, dwalsh, mgrepl, oflor
Target Milestone: ---   
Target Release: ---   
Hardware: i386   
OS: Linux   
Whiteboard: setroubleshoot_trace_hash:835f540087d190715a5d88b8a422a5ada6826d1d4fb255e970daafd77943b651
Fixed In Version: Doc Type: Bug Fix
Doc Text:
Story Points: ---
Clone Of: Environment:
Last Closed: 2011-06-12 16:51:18 UTC Type: ---
Regression: --- Mount Type: ---
Documentation: --- CRM:
Verified Versions: Category: ---
oVirt Team: --- RHEL 7.3 requirements from Atomic Host:
Cloudforms Team: --- Target Upstream Version:

Description Oscar Flor 2011-06-11 03:05:33 UTC
Resúmen:

SELinux está negando a Samba (/usr/sbin/smbd) el acceso "read" a /proc/<pid>/cmdline.

Descripción Detallada:

[smbd es un tipo permisivo (smbd_t). Este acceso no fue denegado.]

SELinux ha negado a samba el acceso a /proc/<pid>/cmdline. Si quiere compartir
este directorio con samba, debe tener el contexto de archivo etiquetado como
samba_share_t. Si no pretende utilizar /proc/<pid>/cmdline como un repositorio
samba, esto puede indicar o bien un error, o bien un intento de ataque. Por
favor, vea 'man samba_selinux' para obtener mayor información sobre la
configuración de Samba y de SELinux.

Permitiendo Acceso:

Puede modificar el contexto de archivo ejecutando chcon -R -t samba_share_t
'/proc/<pid>/cmdline' También debe cambiar el archivo predeterminado de
contexto de archivos en el sistema, para preservarlos incluso después de un
reetiquetado completo. "semanage fcontext -a -t samba_share_t '/proc/<pid>/cmdline'"

Comando para Corregir:

chcon -R -t samba_share_t '/proc/<pid>/cmdline'

Información Adicional:

Contexto Fuente               system_u:system_r:smbd_t:s0-s0:c0.c1023
Contexto Destino              unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1
                              023
Objetos Destino               /proc/<pid>/cmdline [ file ]
Fuente                        smbd
Dirección de Fuente          /usr/sbin/smbd
Puerto                        <Desconocido>
Nombre de Equipo              (eliminado)
Paquetes RPM Fuentes          samba-3.4.9-60.fc12
Paquetes RPM Destinos         
RPM de Políticas             selinux-policy-3.6.32-127.fc12
SELinux Activado              True
Tipo de Política             targeted
Modo Obediente                Enforcing
Nombre de Plugin              samba_share
Nombre de Equipo              (eliminado)
Plataforma                    Linux (eliminado) 2.6.31.5-127.fc12.i686 #1 SMP Sat
                              Nov 7 21:41:45 EST 2009 i686 i686
Cantidad de Alertas           1
Visto por Primera Vez         vie 10 jun 2011 23:03:35 PYT
Visto por Última Vez         vie 10 jun 2011 23:03:35 PYT
ID Local                      7543d922-ec30-422e-bb45-4e92799a3f25
Números de Línea            

Mensajes de Auditoría Crudos 

node=(eliminado) type=AVC msg=audit(1307761415.561:23515): avc:  denied  { read } for  pid=19399 comm="smbd" path="/proc/2007/cmdline" dev=proc ino=18154 scontext=system_u:system_r:smbd_t:s0-s0:c0.c1023 tcontext=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023 tclass=file

node=(eliminado) type=SYSCALL msg=audit(1307761415.561:23515): arch=40000003 syscall=11 success=yes exit=0 a0=9021c00 a1=9021b80 a2=9021268 a3=9021b80 items=0 ppid=19398 pid=19399 auid=4294967295 uid=0 gid=0 euid=0 suid=0 fsuid=0 egid=0 sgid=0 fsgid=0 tty=(none) ses=4294967295 comm="smbd" exe="/usr/sbin/smbd" subj=system_u:system_r:smbd_t:s0-s0:c0.c1023 key=(null)



Hash String generated from  samba_share,smbd,smbd_t,unconfined_t,file,read
audit2allow suggests:

#============= smbd_t ==============
allow smbd_t unconfined_t:file read;

Comment 1 Miroslav Grepl 2011-06-12 16:51:18 UTC
Oscar, 
F12 is no longer supported. Please update to a newer Fedora release.